Studio不正アクセス、フォーム情報の漏えいで何をする？

Webサイト制作サービス「Studio」を運営するSTUDIO株式会社が、不正アクセスを受けたと発表しました。お問い合わせフォームに送信された内容も、第三者に取得された可能性がある情報に含まれています。

「自社のホームページも関係あるのか」「制作会社に任せているので、どのサービスを使っているか分からない」という場合もあると思います。

まずは、Studioを使っていたか、フォームがどこにつながっていたかを確かめるところから始めます。公式に発表されている事実と、自社で確認することを分けて見ていきます。

Studioの不正アクセスで何が起きた？

STUDIO株式会社は2026年10月16日、Studioが使うクラウド環境への不正アクセスを公表しました。第三者が一部の機能の弱点を悪用したもので、不正アクセスが確認された期間は9月30日から10月1日です。その後、この弱点は修正されています。

Studioは、実際にデータが取得された事実は確認できていないものの、取得されたものとみなして対応しています。全体の件数は精査中で、11月4日時点では公表されていません。

対象は全登録ユーザーです。可能性のある情報には、ユーザー名やメールアドレスなどのアカウント情報だけでなく、次のようなものも含まれます。

編集中のデザインやCMSに登録した内容
フォームに送信された氏名、連絡先、問い合わせ内容など
外部サービスとつなぐための合言葉にあたるAPIキーや、Googleスプレッドシート連携の認証情報
パスワード保護ページのパスワードや、ライブプレビューのURL

暗号化されていたデータも対象です。暗号を元に戻すための鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があるとStudioは説明しています。

あなたのホームページは関係ある？

Studioのアカウントを自社で管理している場合は、管理画面や契約時のメールを確認すると、利用の有無が分かります。

分かりにくいのは、ホームページの制作や更新を制作会社などに任せている場合です。自社でStudioと直接契約していなくても、委託先が制作に使っていることがあります。兵庫県では委託した事業者が、埼玉県では指定管理者がStudioを使っていた事例が公表されています。

制作会社に任せている場合は、次の点を確かめてみてください。

ホームページがStudioで作られているか
お問い合わせフォームもStudioの機能を使っているか
フォームに入力された内容が、どこに保存・転送されていたか
Studioから案内された変更作業が終わっているか

Studioでページを作っていても、フォームは別の仕組みを使っていることがあります。反対に、一部の案内ページだけStudioで作られ、そのページのフォームが対象になっている場合もあります。

ホームページ全体の見た目だけで判断せず、フォームごとに確認する必要があります。

Studioを使っていたら何をすればいい？

Studioは利用者に対し、パスワードの変更を案内しています。同じパスワードをほかでも使っている場合は、その利用先についても確認が必要です。

外部サービスと連携していた場合は、APIキーなどの認証情報を新しくして、古いものを無効にします。Googleスプレッドシートとの連携は、いったん解除してからやり直すよう案内されています。ライブプレビューのURLを発行していた場合は、そのURLも削除します。

これらの設定を制作会社が管理しているなら、自社で無理に操作せず、対応状況を確認してみてください。作業済みかどうかだけでなく、どの連携を変更したのかも残しておくと、後の確認がしやすくなります。

フォームについては、どのページで使っていたか、どのような項目を入力してもらっていたかを整理します。氏名やメールアドレスだけなのか、相談内容やそのほかの情報も含まれるのかによって、確認する範囲が変わります。

Studioは、メールで認証情報の入力を求めたり、電話で認証情報を聞いたりすることはないと案内しています。Studioを名乗る連絡が届いても、連絡内の案内だけで判断せず、公式のお知らせを確かめてください。

個人情報保護委員会への報告や、お客様への連絡は必要？

個人情報保護委員会は、漏えいまたは漏えいのおそれがあり、次のいずれかに当たる場合、委員会への報告と本人への通知が必要としています。

病歴など、取り扱いに特に配慮が必要な個人情報が含まれる
財産的な被害が生じるおそれがある
不正な目的による漏えいのおそれがある
本人の数が1,000人を超える

不正アクセスは「不正な目的による漏えいのおそれ」に当たります。実際に取得されたことが確認できていなくても、「おそれ」がある場合が含まれる点に注意が必要です。

報告には、事態を知ってからおおむね3〜5日以内の速報と、その後の確報があります。確報は通常30日以内ですが、不正な目的によるおそれがある場合は60日以内とされています。

Studioのフォームを使っていた運営者は、個人情報保護委員会へ自社で個別に報告するか、Studioとの連名で報告するかを選べます。連名報告の申込期間は、2026年11月4日から11月18日23時59分までです。

ただし、連名報告にフォームを送った人への通知は含まれません。本人への通知は、ホームページの運営者が行います。Studioがフォームの送信者へ直接通知することもありません。通知が難しい場合には、公表などの代わりの方法があると案内されています。

プライバシーマークの審査機関や、業法上の所管官庁などへの報告も、運営者自身で行います。どの報告が必要か分からない場合は、個人情報保護委員会の案内を確認し、必要に応じて法律の専門家へ相談してください。

Studio以外のサービスや委託先なら安心？

今回公表したのはStudioだけではありません。マネーフォワードは、グループ5社のサイトに設置したお問い合わせフォームの計8,109件について公表し、Studio上のフォームを止めて別のシステムへ切り替えました。ラクスルも、サービス案内サイトのフォーム6,412件について公表しています。デジタル庁、兵庫県、埼玉県からも発表が出ています。

一方、利用サービスや委託先への攻撃によって、委託元が対応する事例はStudio以外でも続いています。

大和証券では、問い合わせ管理に使っていた外部のWebサービスのサーバーが不正アクセスを受け、約11万名分の氏名、メールアドレス、口座番号などが漏えいした可能性が公表されました。大和証券自身のシステムへの侵入は確認されていません。

ドン・キホーテなどでは時計修理の委託先がランサムウェアの被害を受けました。ライドオンエクスプレスホールディングスでは、データを預けていたサーバーの運営会社がランサムウェアの被害を受け、最大約650万件が対象となる可能性が公表されています。

こうした事例に見られるように、自社のホームページや社内システムへ直接侵入されていなくても、委託先や利用サービスを通じて対応が必要になることがあります。相次ぐ情報漏えいに共通する手口でも、委託先を含めて確認する考え方を紹介しています。

個人情報保護委員会は、「業務委託ではないクラウドサービスだから確認していなかった」という考え方を、問題のある例として挙げています。利用規約や安全性に関する資料を読み、どのような対策が取られているかを確かめたうえで選ぶよう示しています。

内閣官房の国家サイバー統括室も、委託先の管理状況を継続して確かめることや、漏えい時の報告義務を契約に書くことを示しています。委託先へ渡すデータを必要なものに絞り、業務が終わったら削除してもらうことも対策に含まれます。

サーバーや制作サービスから不正アクセスの発表があったときは、その会社を使っているかだけでなく、ホームページやフォームのどの部分に関係するかを確かめます。お名前.com不正アクセスでホームページへの影響は？でも、利用サービスで問題が起きたときの確認方法をまとめています。

どこに相談すればいいか分からないときは

ホームページを作った会社との契約が終わっていたり、現在の管理先が分からなかったりすると、Studioを使っているかを自社だけで確かめるのは難しいと思います。

当社でも、ホームページがどのサービスで作られているか、フォームの送信先がどこかの確認や、フォームを別の仕組みに切り替える相談に対応しています。確認だけでも構いませんので、相談先が分からない場合はお気軽にご相談ください。

個人情報保護委員会への報告の代行や、法的な助言は行っていません。報告や本人通知について個別の判断が必要な場合は、公式の案内や法律の専門家にも確認してください。

まとめ

Studioの不正アクセスでは、フォームに送信された内容を含む複数の情報について、取得されたものとみなした対応が進められています。実際の取得が確認されていないことと、対応が不要であることは同じではありません。

制作会社にホームページを任せている場合も、委託先がStudioを使っていなかったか確認してみてください。利用していた場合は、公式に案内されたパスワードや連携情報の変更が終わっているかを確かめます。

まずは、ホームページを作っているサービスと、フォームの送信先を確認してみてください。そのうえで、フォームにどのような個人情報が送られていたかを整理するところから始めます。